инфостилер Mars Stealer вредоносное ПО криптокошелек криптовалюта Windows Atomic Wallet PowerShell
В этой вредоносной кампании Mars Stealer ведет себя намного более скрытно.
Фальшивый веб-сайт был обнаружен исследователем под ником Dee в понедельник и до сих пор не заблокирован, распространяя копии Mars Stealer.
Настоящий сайт слева, фальшивый справа.
Видно, что фейковый сайт не является точной копией первого, но использует официальные логотипы, темы, изображения и структуру настоящего сайта. На нем даже есть контактная форма, адрес электронной почты и раздел FAQ. Жертва, которая ранее не видела официальный сайт Atomic Wallet, легко купится на красивую фальшивку.
Посетителям, пытающимся скачать криптовалютный кошелек, доступны три кнопки:
Скачать для Windows. При нажатии на эту кнопку скачается ZIP-архив под названием “Atomic Wallet.zip", который содержит вредоносный файл, заражающий устройство жертвы Mars Stealer;
Скачать в Apple Store. При нажатии на эту кнопку ничего не происходит;
Скачать в Google Play. При нажатии на эту кнопку жертва будет перенаправлена на официальное приложение Atomic Wallet в Google Play.
Страница загрузки на фейковом сайте.
ZIP-архив содержит в себе батник под названием “AtomicWallet-Setup.bat”, который запускает PowerShell-команду, повышающую привилегии на зараженном устройстве. Далее bat-файл копирует исполняемый файл PowerShell (powershell.exe) в каталоге, переименовывает и скрывает его, а затем использует для расшифровки содержимого, закодированного в base64.
Содержимое bat-файла.
Расшифрованный код выполняет конечный PowerShell-код, выступающий в качестве дроппера вредоносной программы.
Код для расшифровки содержимого bat-файла.
Дроппер загружает копию Mars Stealer с сервера Discord и выгружает ее в %LOCALAPPDATA% на хост-машину. Установившись в системе жертвы, вредонос запускался и начинал красть данные с зараженного устройства.
Специалисты рекомендуют при загрузке криптовалютных кошельков убедиться, что вы используете официальный портал проекта. Кроме того, рекомендуется остерегаться рекламы в соцсетях и Google.
SECURITYLAB.RU
